Site internet et RGPD : rendre votre site conforme en 2026

Beaucoup d'entrepreneurs pensent que le RGPD ne concerne que les grandes entreprises. C'est faux. Dès qu'un site collecte une adresse e-mail via un formulaire, dépose un cookie de mesure d'audience ou affiche un bouton de partage social, il traite des données personnelles, et il entre dans le champ du règlement. Une boulangerie avec un simple formulaire de contact est concernée au même titre qu'un grand site marchand. La bonne nouvelle : la conformité d'un site vitrine ou d'un site avec configurateur n'a rien d'insurmontable. Elle tient à une poignée de réflexes que cet article détaille, sans jargon, pour que vous sachiez exactement ce qui doit figurer sur votre site en 2026.

Ce que le RGPD impose concrètement à un site web

Le RGPD (Règlement général sur la protection des données) est entré en application le 25 mai 2018 dans toute l'Union européenne. En France, c'est la CNIL (Commission nationale de l'informatique et des libertés) qui en contrôle l'application. Le texte ne dit pas « interdit de collecter des données » : il encadre la manière de le faire. Trois principes structurent presque tout ce qui suit.

Une base légale pour chaque traitement

Vous ne pouvez pas collecter une donnée « au cas où ». Chaque collecte doit reposer sur une base légale identifiée. Pour un site, deux cas reviennent en permanence. Le consentement quand l'internaute remplit un formulaire d'inscription à une newsletter ou accepte des cookies de publicité : il doit dire oui librement, de façon éclairée. L'exécution d'un contrat quand un client passe commande ou demande un devis : là, vous avez besoin de son nom et de son e-mail pour livrer la prestation, le consentement marketing n'est pas requis pour ces données strictement nécessaires.

La minimisation des données

On ne demande que ce dont on a réellement besoin. Un formulaire de contact qui exige la date de naissance, l'adresse postale complète et le numéro de SIRET pour répondre à une simple question viole ce principe. Pour une prise de contact, un nom, un e-mail et un message suffisent souvent. Moins vous collectez, moins vous êtes exposé en cas d'incident, et plus vos formulaires convertissent : chaque champ inutile fait fuir des prospects. La conformité et la performance vont ici dans le même sens.

La transparence et l'information

Au moment où vous collectez une donnée, la personne doit savoir qui vous êtes, pourquoi vous collectez, combien de temps vous conservez et quels sont ses droits. C'est le rôle de la politique de confidentialité, vers laquelle un lien doit être visible au point de collecte (à côté de chaque formulaire, dans le pied de page). Pas de collecte cachée, pas de finalité vague du type « pour améliorer nos services » sans précision.

Les cookies et le bandeau de consentement : le point le plus surveillé

C'est le sujet sur lequel les sites se font le plus piéger, et celui que la CNIL contrôle le plus activement. Un cookie est un petit fichier déposé sur le terminal du visiteur. Tous ne se valent pas, et c'est cette distinction qui commande la règle.

Cookies essentiels contre cookies non essentiels

Les cookies strictement nécessaires au fonctionnement du site (panier d'achat, session de connexion, équilibrage de charge) ne nécessitent pas de consentement. Ils peuvent être déposés d'office. En revanche, les cookies non essentiels (mesure d'audience publicitaire, pixels de réseaux sociaux comme Meta ou TikTok, retargeting, certains outils d'analytics) ne peuvent être déposés qu'après accord explicite de l'internaute. C'est la frontière à connaître.

Les règles d'un bandeau réellement conforme

La CNIL est claire sur les exigences d'un bandeau cookies. Pour être conforme, il doit respecter plusieurs conditions cumulatives.

• Refuser doit être aussi simple qu'accepter. Un bouton « Tout accepter » bien visible face à un refus caché dans trois sous-menus est non conforme. Les deux choix sont au même niveau, sur le même écran.
• Aucun traceur non essentiel n'est déposé avant le clic. Tant que le visiteur n'a pas dit oui, l'analytics publicitaire et les pixels restent inactifs. Le simple fait de continuer à naviguer ne vaut pas consentement.
• Le choix est granulaire. L'internaute peut accepter certaines finalités et en refuser d'autres, plutôt qu'un oui ou non global imposé.
• Le consentement se retire aussi facilement qu'il se donne. Un lien permanent (souvent « Gérer les cookies » dans le pied de page) permet de revenir sur son choix à tout moment.
• Pas de cases pré-cochées, pas de design trompeur. Les « dark patterns » qui poussent à accepter (bouton refus grisé, couleur décourageante) sont écartés par la CNIL.

La conséquence pratique est nette : vos outils de mesure d'audience publicitaire et vos pixels ads doivent se charger uniquement après le clic d'acceptation, jamais au chargement de la page. C'est un point technique que beaucoup de sites « posés » sur un thème acheté oublient totalement, ce qui les rend non conformes sans même que leur propriétaire le sache.

Les formulaires : consentement, finalité, durée

Le second terrain à risque, c'est le formulaire. Contact, devis, inscription newsletter, prise de rendez-vous : chacun collecte des données et doit être traité avec soin.

La case de consentement, non pré-cochée

Si votre formulaire sert aussi à inscrire la personne à une liste marketing (newsletter, promotions), vous avez besoin de son consentement explicite pour cet usage. Cela passe par une case à cocher non pré-cochée, distincte du champ de message. Une case déjà cochée par défaut n'a aucune valeur juridique : le consentement doit être un acte positif. À l'inverse, un simple formulaire de contact pour répondre à une question n'a pas besoin d'une case marketing, puisque la base légale est la réponse à la demande elle-même. Attention à ne pas mélanger les deux : ne conditionnez pas l'envoi du message à l'acceptation de la newsletter.

Une finalité précise et affichée

La personne doit comprendre à quoi servent les données qu'elle vous confie. « Vos informations sont utilisées pour traiter votre demande de devis et, si vous le souhaitez, vous envoyer nos actualités » est une finalité claire. Une mention floue ne suffit pas. Un lien vers la politique de confidentialité, à proximité immédiate du bouton d'envoi, complète l'information.

Une durée de conservation définie

On ne garde pas une donnée indéfiniment. Vous devez fixer et documenter une durée de conservation cohérente avec la finalité. À titre d'exemple courant, les coordonnées d'un prospect non converti se conservent souvent trois ans à compter du dernier contact, après quoi elles sont supprimées ou anonymisées. Cette durée doit apparaître dans votre politique de confidentialité. Garder des fichiers de contacts vieux de dix ans « parce que ça peut servir » est précisément le genre de pratique que la CNIL sanctionne.

Les mentions et documents obligatoires

Trois documents devraient figurer sur tout site professionnel français. Leur absence est l'un des premiers signaux qu'un contrôle relèvera.

• Mentions légales. Obligatoires pour tout site professionnel en France (identité de l'éditeur, hébergeur, numéro RCS ou SIRET selon le statut, directeur de la publication, contact). Leur absence est sanctionnée indépendamment du RGPD.
• Politique de confidentialité. Le document central du RGPD : quelles données sont collectées, pourquoi, combien de temps, avec qui elles sont partagées (sous-traitants comme l'hébergeur, l'outil d'e-mailing, la solution de paiement) et comment exercer ses droits.
• Politique cookies. La liste des cookies utilisés, leur finalité et leur durée, ainsi que le moyen de gérer son consentement. Elle complète le bandeau.

À ces trois documents s'ajoutent les CGV (conditions générales de vente) dès que vous vendez en ligne, et les CGU selon les fonctionnalités. Sur ces sujets de conformité, il vaut la peine de soigner aussi la transparence commerciale : nous l'abordons sous l'angle de la confiance dans notre analyse des raisons pour lesquelles un site ne convertit pas.

Les droits des personnes : ce que vos visiteurs peuvent exiger

Le RGPD donne à toute personne dont vous détenez des données une série de droits que vous devez être en mesure d'honorer. Un site conforme prévoit un canal pour les exercer, généralement une adresse e-mail dédiée mentionnée dans la politique de confidentialité.

• Droit d'accès. Savoir quelles données vous détenez sur elle et en obtenir une copie.
• Droit de rectification. Faire corriger une donnée inexacte ou incomplète.
• Droit à l'effacement (« droit à l'oubli »). Demander la suppression de ses données, sous réserve de vos obligations légales de conservation.
• Droit d'opposition. Refuser certains traitements, notamment la prospection commerciale.
• Droit à la portabilité. Récupérer ses données dans un format réutilisable, quand le traitement repose sur le consentement ou un contrat.

Vous disposez en principe d'un mois pour répondre à une telle demande. Ne pas prévoir de procédure, c'est s'exposer à une plainte qui peut déclencher un contrôle.

Les risques : sanctions et contrôles renforcés

La conformité n'est pas qu'une formalité morale. La CNIL dispose d'un véritable pouvoir de sanction et le tient à jour publiquement sur son site. Les amendes peuvent atteindre, dans le cas général prévu par le RGPD, jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial pour les manquements les plus graves. Pour une TPE ou une PME, l'issue la plus fréquente reste la mise en demeure, accompagnée d'une obligation de corriger, mais des sanctions financières concrètes sont régulièrement prononcées, y compris sur le sujet précis des cookies. La CNIL publie chaque année son registre de sanctions, consultable directement sur cnil.fr.

Au-delà de l'amende, le risque est réputationnel. Une mise en demeure peut être rendue publique, et un visiteur qui constate un bandeau cookies trompeur ou une collecte abusive perd confiance. Sur le marché français, où la sensibilité à la vie privée est forte, un site visiblement non conforme nuit à la marque autant qu'au juridique. La conformité est donc un argument commercial, pas seulement une contrainte.

Conforme contre non conforme : le tableau de référence

Élément du site	Non conforme	Conforme
Bandeau cookies	« Tout accepter » seul, ou refus caché dans des sous-menus	Accepter et refuser au même niveau, choix granulaire
Dépôt des traceurs	Analytics publicitaire et pixels chargés dès l'arrivée sur la page	Traceurs non essentiels chargés uniquement après accord
Formulaire marketing	Case de consentement pré-cochée ou absente	Case non pré-cochée, finalité explicite, lien vers la politique
Données collectées	Champs inutiles (date de naissance, adresse) « au cas où »	Strictement nécessaires à la finalité (minimisation)
Documents légaux	Aucune mention légale ni politique de confidentialité	Mentions légales, politique de confidentialité, politique cookies
Droits des personnes	Aucun contact ni procédure pour exercer ses droits	Adresse dédiée et délai de réponse d'un mois respecté
Conservation	Données gardées indéfiniment, sans durée définie	Durée documentée (ex. prospects : 3 ans après le dernier contact)

La checklist de conformité RGPD de votre site

Reprenez ces points un par un. Si vous cochez tout, votre site couvre l'essentiel de la conformité attendue d'un site vitrine ou d'un site avec configurateur.

• Un bandeau cookies où refuser est aussi simple qu'accepter, avec choix granulaire.
• Aucun cookie ou pixel non essentiel déposé avant le clic d'acceptation.
• Un lien permanent pour modifier son choix de cookies (« Gérer les cookies »).
• Une case de consentement non pré-cochée sur chaque formulaire à finalité marketing.
• Une finalité claire affichée à côté de chaque formulaire.
• Seulement les champs strictement nécessaires (minimisation).
• Des mentions légales complètes et à jour.
• Une politique de confidentialité accessible depuis le pied de page et chaque formulaire.
• Une politique cookies listant les traceurs et leur finalité.
• Une adresse de contact dédiée pour exercer ses droits.
• Une durée de conservation définie et documentée pour chaque type de donnée.
• Les CGV présentes si vous vendez en ligne.

Pour aller au bout de la démarche officielle, la CNIL publie ses recommandations détaillées sur les cookies et traceurs, et vous pouvez vérifier vos obligations d'éditeur de site sur le portail de l'administration française. Deux sources fiables à garder sous la main : la page cookies de la CNIL et les mentions obligatoires d'un site professionnel sur service-public.fr.

Un site conforme dès la conception, sans rustines

La plupart des problèmes de conformité viennent du même endroit : un site construit sans penser au RGPD, puis « rafistolé » après coup avec un plugin de bandeau cookies mal réglé qui laisse quand même passer les traceurs. C'est le pire des deux mondes : l'apparence de la conformité sans la réalité. Chez ClicStudio, nous concevons les sites conformes par défaut : bandeau cookies au standard CNIL (accepter et refuser au même niveau, traceurs bloqués avant accord), formulaires avec consentement non pré-cochée et collecte minimisée, et les trois documents légaux préparés. Vous récupérez un site propre, pas une promesse à compléter vous-même.

Et comme tout ce que nous livrons, cela se fait en paiement unique, dès 1 490 € : vous payez la création une fois, le site et sa conformité vous appartiennent, sans abonnement qui vous enchaîne. La protection des données n'est pas une option facturée à part, c'est la base du travail. Pour savoir précisément ce qu'inclut un projet et à quel coût, parcourez notre grille de tarifs détaillée, ou lancez le configurateur de devis pour chiffrer le vôtre en une minute. Si vous préparez votre cahier des charges, notre guide complet de création de site remet la conformité à sa juste place, et notre page création de site internet détaille notre méthode.

Questions fréquentes

Mon petit site vitrine est-il vraiment concerné par le RGPD ?

Oui, dès qu'il traite une donnée personnelle. Un formulaire de contact, un cookie de mesure d'audience ou un bouton de partage social suffisent à entrer dans le champ du règlement. La taille de l'entreprise n'exonère de rien : une TPE est soumise aux mêmes règles qu'un grand groupe, même si les contrôles tiennent compte du contexte.

Faut-il un bandeau cookies si je n'utilise pas Google Analytics ?

Cela dépend de ce que vous chargez. Si votre site ne dépose que des cookies strictement nécessaires à son fonctionnement, le consentement n'est pas requis et un bandeau de demande n'est pas obligatoire. Mais dès qu'un outil de mesure d'audience publicitaire, un pixel publicitaire ou une vidéo embarquée déposant des traceurs entre en jeu, le bandeau conforme devient nécessaire. En cas de doute, partez du principe qu'il en faut un.

Une case de consentement pré-cochée est-elle vraiment interdite ?

Oui. Le RGPD exige un consentement par acte positif. Une case déjà cochée, une simple poursuite de navigation ou un silence ne valent pas consentement. La case doit être vide et l'internaute doit la cocher lui-même pour les usages marketing. Ce point est régulièrement rappelé par la CNIL et la jurisprudence européenne.

Combien de temps puis-je conserver les coordonnées d'un prospect ?

Le temps nécessaire à la finalité, puis vous supprimez ou anonymisez. Pour un prospect non converti, une durée fréquemment retenue est de trois ans à compter du dernier contact. L'essentiel est de fixer une durée, de la documenter dans votre politique de confidentialité et de la respecter, plutôt que de garder vos fichiers indéfiniment.

Que risque concrètement un site non conforme ?

Sur le plan juridique, la CNIL peut prononcer une mise en demeure de corriger, puis une sanction financière en cas de manquement persistant ou grave, jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial dans les cas les plus sérieux. Pour une PME, l'issue courante reste la mise en demeure, mais des amendes sont régulièrement infligées, notamment sur les cookies. S'ajoute le risque d'image : une non-conformité visible fait fuir des clients.

Qui est responsable de la conformité, moi ou mon prestataire ?

En tant qu'éditeur du site, vous êtes le responsable de traitement aux yeux de la loi : la responsabilité finale vous incombe. Mais un prestataire sérieux livre un site techniquement conforme (bandeau, blocage des traceurs, documents préparés) pour vous mettre sur de bons rails. Votre rôle reste d'alimenter correctement les documents, de répondre aux demandes d'exercice de droits et de ne pas réintroduire d'outils non conformes par la suite.

La conformité RGPD coûte-t-elle un supplément chez ClicStudio ?

Non. Le bandeau cookies conforme, les formulaires avec consentement et les documents légaux font partie du socle de chaque site que nous livrons, en paiement unique. Nous considérons la protection des données comme une fondation, pas comme une option à vendre séparément.